Winn32.exe 
Winn32.mcs 
SWportal*.exe 
SWCaller*.exe 
SWportal.js 
SWportal1.gif 
SWportalero.html 
SWportalkop.gif 
SWportallink.html

Cuando el troyano se ejecuta, se realizan las siguientes acciones:

Se alteran las siguientes claves del registro:

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\
Start Page = C:\<carpeta local con el troyano>\Winn32.html
Startpagina = C:\<carpeta local con el troyano>\Winn32.html

De este modo el troyano modifica la página de inicio por defecto del Internet Explorer por la de un sitio Web predefinido por el atacante.

También se agregan las siguientes claves:

HKEY_CURRENT_USER\Software\SWCaller\SWCaller
SWStartPage = Yes

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
<Nombre y ubicación del troyano>

Esta última clave permite que el troyano se autoejecute en cada reinicio de Windows. El nombre de la clave y del ejecutable pueden ser cualquiera, de acuerdo al dado por el atacante al troyano.

El troyano crea también algunos archivos de textos, los que son nombrados con el siguiente formato:

www.<dirección sitio>.cxq

Las direcciones pertenecen en su mayoría a sitios para adultos ubicados en los países bajos.

El troyano se activa al ser ejecutado por el propio usuario, en forma accidental, o al ser engañado éste en forma premeditada para hacerlo.

Se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet o cuya fuente sean disquetes, CDs, etc., sin revisarlo antes con uno o dos antivirus al día.

Recomendamos además, utilizar un programa tipo firewall (o cortafuego) como el ZoneAlarm, gratuito para uso personal, que detendrá y advertirá la conexión del troyano con Internet.

VSantivirus No. 117 - 2/nov/00
Zone Alarm - El botón rojo que desconecta su PC de la red
http://www.vsantivirus.com/za.htm


Reparación manual

Para reparar manualmente la infección provocada por este troyano, proceda de la siguiente forma:

1. Actualice sus antivirus

2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros

3. Borre los archivos detectados como el troyano

4. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

5. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

6. Pinche en la carpeta "Run" y en el panel de la derecha busque y borre la entrada que corresponda al nombre del troyano detectado en el punto 3.

7. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\SWCaller

8. Pinche en la carpeta "SWCaller" y bórrela pulsando la tecla SUPR o DEL.

9. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Microsoft
\Internet Explorer
\Main

10. Pinche en la carpeta "Main" y en el panel de la derecha busque y borre el contenido de las siguientes claves (doble clic sobre cada una de ellas, y borre el contenido en "Información del valor").

Start Page
Startpagina

11. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

12. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).


Limpieza de virus en Windows Me y XP

Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:

Limpieza de virus en Windows Me

VSantivirus No. 499 - 19/nov/01
http://www.vsantivirus.com/faq-winme.htm

Limpieza de virus en Windows XP

VSantivirus No. 587 - 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com